漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017368
漏洞标题：万达集团某处未授权任意浏览MM、GG信息
相关厂商：大连万达集团股份有限公司
漏洞作者： leaf
提交时间：2013-01-16 13:50
修复时间：2013-03-02 13:50
公开时间：2013-03-02 13:50
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-16： 细节已通知厂商并且等待厂商处理中
2013-01-16： 厂商已经确认，细节仅向厂商公开
2013-01-26： 细节向核心白帽子及相关领域专家公开
2013-02-05： 细节向普通白帽子公开
2013-02-15： 细节向实习白帽子公开
2013-03-02： 细节向公众公开
简要描述：
万达集团某处未授权任意浏览MM、GG信息！部分MM附带靓照...
详细说明：
刚提交了个万达人力资源管理站点的漏洞，可惜是即将退役站点！既然是即将退役的，那么肯定有新的替代吧？目测这个就是...至少“newhrm”在哪标识着...
http://zhaopin.wanda.com.cn/newhrm/login/login.aspx
随意google下：
点开看看：
随便更改下参数，不小心看到了一个MM的靓照：
因为其中混杂了大量的男士，就不一 一展示了...目测至少几万份的简历...
...
...
...
漏洞证明：
同上！
修复方案：
对相关页面进行身份验证，做好权限控制！
版权声明：转载请注明来源 leaf@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-01-16 14:09
厂商回复：
感谢leaf同学的关注与贡献！我们还得加强教育持续改进
最新状态：
暂无